Bug-Bounty-Programm.

Formale Initiative, mit der eine Organisation externe Forschende einlaedt, Schwachstellen zu melden, und Praemien je nach Auswirkung zahlt. Es gehört zur Kategorie Angriffe und Bedrohungen der Cybersicherheit.

Formale Initiative, mit der eine Organisation externe Forschende einlaedt, Schwachstellen zu melden, und Praemien je nach Auswirkung zahlt.

Ein Bug-Bounty-Programm gestaltet crowd-basiertes Security-Testing als kontrollierten Prozess. Die Organisation veroeffentlicht Scope, Regeln, Ausschluesse und Praemienstufen und nimmt Meldungen unabhaengiger Forschender entweder ueber eine eigene Plattform oder einen Triage-Anbieter wie HackerOne, Bugcrowd oder Intigriti entgegen. Befunde werden validiert, reproduziert, priorisiert und behoben, die Auszahlung richtet sich nach der Schweregradeinstufung (haeufig CVSS). Programme koennen oeffentlich oder privat (nur fuer Eingeladene) sein und ergaenzen internes AppSec, SAST/DAST sowie Penetrationstests, ersetzen sie aber nicht. Eine Safe-Harbour-Klausel ist essenziell, damit gutglaeubige Forschende nicht nach Anti-Hacking-Gesetzen verfolgt werden.

Schutzmaßnahmen gegen Bug-Bounty-Programm kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: VRP, Schwachstellen-Praemienprogramm.